La loi sur les services numériques (DSA) et la loi sur les marchés numériques (DMA) sont des règlements européens qui fixent de nouvelles règles obligatoires pour les fournisseurs de services en ligne et les puissantes plateformes de contrôle d'accès afin de garantir la sécurité des utilisateurs et l'équité des marchés. Bien qu'élaborés à Bruxelles, leur portée est mondiale : toute entreprise ciblant les utilisateurs de l'UE doit s'y conformer sous peine d'amendes pouvant atteindre 6 % (et, pour les récidivistes, 20 %) de son chiffre d'affaires mondial. Alors que la DSA est déjà pleinement appliquée et que les premiers rapports de conformité DMA sont attendus dans quelques mois, les conseils d'administration et les équipes produit ont peu de temps pour déterminer les changements nécessaires.

Ce guide vous explique le jargon juridique. Vous y trouverez des définitions claires, des comparaisons, des dates clés et une liste de contrôle étape par étape qui traduit les articles statutaires en actions concrètes pour les équipes techniques, juridiques et de conformité. Découvrez l'impact du nouveau règlement sur votre entreprise et les prochaines étapes.

Aperçu du nouveau règlement numérique de l'UE

Bruxelles n'a pas rédigé la loi sur les services numériques (DSA) et la loi sur les marchés numériques (DMA) de manière isolée. Ensemble, ils constituent le socle d'un ensemble de réformes plus vaste destiné à relancer l'économie en ligne de l'UE après deux décennies de pouvoir débridé des plateformes et d'application fragmentaire.

Pourquoi l'UE a introduit le DSA et le DMA

• La domination des Big Tech a révélé des angles morts dans le droit de la concurrence : les affaires antitrust ponctuelles ont pris des années, tandis que les gardiens ont continué à se développer.
• Les contenus illégaux (propagande terroriste, produits contrefaits) circulent sans problème à travers les frontières, et la directive sur le commerce électronique de 2000 n’offrait guère plus qu’une procédure de notification et de retrait.
• Les décideurs politiques voulaient renforcer les droits fondamentaux – comme la liberté d’expression et la protection des consommateurs – sans imposer une surveillance générale.
• Sur le plan politique, ces deux réglementations sont présentées comme l’épine dorsale d’un marché unique numérique digne de confiance, capable de rivaliser avec celui des États-Unis et de la Chine.

Position au sein de la stratégie numérique plus large de l'UE

Le DSA et le DMA se situent à côté, et non au-dessus, d'autres groupes phares :

• GDPR → données personnelles
• NIS2 → cybersécurité
• Loi sur les données → partage des données industrielles
• Loi sur l'IA → algorithmes à haut risque
• Directive sur le travail sur plateforme → droits des travailleurs à la tâche

Chaque loi s’attaque à un domaine de risque différent ; son application est partagée entre les régulateurs nationaux et la Commission européenne afin d’éviter les chevauchements tout en permettant des enquêtes conjointes.

Objectifs et principes de haut niveau

Prises ensemble, les DSA renforcent la gouvernance du contenu, tandis que les DMA maintiennent les marchés contestables – un double coup qui rééquilibre le terrain de jeu numérique.

Loi sur les services numériques (DSA) : portée, objectifs et obligations fondamentales

La DSA réinvente les règles du jeu pour tout ce qui transporte, héberge ou gère du contenu en ligne. Son objectif principal est clair : assurer la sécurité des utilisateurs tout en préservant un marché ouvert aux idées et aux biens. Pour ce faire, la réglementation hiérarchise les obligations par type de service : légères pour les réseaux, lourdes pour les géants dont les algorithmes façonnent le débat public. Parce qu'elle s'applique dès que des utilisateurs de l'UE sont « ciblés », la règle frappe les fournisseurs SaaS mondiaux et les activités annexes de dropshipping aussi sûrement que les grandes marques.

Qui doit se conformer

• Les simples services de conduit (FAI, CDN), les fournisseurs de mise en cache, les services d’hébergement et les « plateformes en ligne » qui mettent le contenu des utilisateurs et des tiers devant les autres entrent tous dans le champ d’application.
• Un niveau spécial – Très grandes plateformes en ligne (VLOP) et Très grands moteurs de recherche en ligne (VLOSE) – s’applique à partir de 45 millions d’utilisateurs mensuels de l’UE.
• L'emplacement n'a pas d'importance : tout fournisseur qui propose des services à l'UE ou surveille le comportement des utilisateurs de l'UE doit désigner un représentant légal de l'UE.

Obligations de base pour tous les intermédiaires

• Créez des canaux de « notification et d’action » faciles à utiliser pour que chacun puisse signaler un contenu illégal.
• Publier des rapports annuels de transparence détaillant les décisions de modération, les ordres des autorités et l’utilisation d’outils automatisés.
• Maintenir un point de contact unique pour les utilisateurs et les régulateurs.
• Coopérer rapidement avec les tribunaux nationaux et les coordinateurs des services numériques.

Règles supplémentaires pour les plateformes en ligne

• Vérifiez les commerçants – « Connaissez votre client commercial » – avant de leur permettre de vendre aux consommateurs.
• Offrir des mécanismes de plainte internes et un accès à un règlement extrajudiciaire des litiges certifié.
• Étiquetez chaque publicité en temps réel, divulguez les paramètres de ciblage clés et interdisez les publicités basées sur des données sensibles ou destinées aux mineurs sans garanties strictes.

Obligations VLOP/VLOSE

• Effectuer et publier des évaluations annuelles des risques systémiques portant sur la désinformation, l’intégrité des élections et la sécurité des enfants.
• Mettre en œuvre des plans d’atténuation supervisés par un responsable de la conformité indépendant et soumis à des audits externes.
• Maintenez des référentiels publicitaires publics avec des API consultables afin que les chercheurs puissent examiner la publicité politique et axée sur les problèmes.
• Déployez des protocoles de crise lorsque des événements tels que des pandémies ou des guerres augmentent les risques en ligne.

Nuances de responsabilité et de sphère de sécurité

La DSA préserve la sphère de sécurité classique : aucune responsabilité si le fournisseur n’a pas « connaissance réelle » de l’illégalité (Article 4). Mais la barre est plus haute dès qu'une notification crédible arrive : tout blocage entraîne la perte de l'immunité. Il est important de noter que la loi rejette la surveillance généralisée, imposant plutôt un « devoir de diligence » calibré en fonction de la taille de la plateforme. Par exemple : une place de marché qui retire rapidement un sac signalé comme contrefait conserve sa protection ; une place de marché qui ignore les notifications répétées s'expose à des ordonnances de retrait et à des amendes pouvant atteindre 6 % du chiffre d'affaires mondial.

Loi sur les marchés numériques (DMA) : portée, objectifs et obligations fondamentales

Là où la DSA contrôle le contenu, la DMA s'attaque au pouvoir de marché. Il s'agit d'un ensemble de règles de concurrence ex ante qui prédéfinissent le comportement de quelques plateformes « gardiennes d'accès » afin que les petites entreprises puissent continuer à atteindre leurs clients, innover et monétiser leurs offres. Les amendes sont exorbitantes – jusqu'à 10 % du chiffre d'affaires mondial (20 % pour les récidivistes) ; il est donc crucial de savoir si vous êtes un gardien d'accès ou si vous dépendez d'un gardien d'accès.

Définition des « gardiens »

Un fournisseur est présumé être un gardien lorsqu'il offre un service de plateforme de base et répond aux trois seuils quantitatifs :

• 7.5 milliards d'euros de chiffre d'affaires dans l'EEE (trois dernières années) or 75 milliards d'euros de capitalisation boursière
• Au moins 45 millions d'utilisateurs finaux actifs par mois dans l'UE
• Au moins 10 000 actifs par an les utilisateurs professionnels

Les principaux services de la plateforme comprennent les moteurs de recherche, les réseaux sociaux, les systèmes d’exploitation, les marchés en ligne, les magasins d’applications, les services publicitaires, les navigateurs Web, les assistants vocaux et les services cloud.
La Commission peut toujours qualifier une entreprise de gardien via un test qualitatif – pouvoir de marché « ancré et durable » – tandis que les entreprises peuvent réfuter cette désignation si elles prouvent l’absence d’un tel pouvoir.

Obligations que les gardiens doivent remplir

Les gardiens doivent, dans les six mois suivant leur désignation :

• Permettez aux utilisateurs finaux de désinstaller les applications préchargées et de modifier facilement les paramètres par défaut.
• Activez la portabilité des données en temps réel et accordez aux utilisateurs professionnels l’accès aux mesures de performance.
• Assurer l’interopérabilité des fonctions de messagerie de base (texte, voix, vidéo).
• Offrez aux annonceurs et aux éditeurs des tarifs transparents pour chaque impression publicitaire et proposez des outils de rapprochement.
• Utilisez des conditions basées sur FRAND pour accéder aux magasins d'applications, aux services de paiement et aux données de classement de recherche.

Pratiques strictement interdites

• Auto-préférencer ses propres produits ou services dans les classements ou les résultats.
• Fidéliser les utilisateurs professionnels par le biais de clauses anti-direction ou de regroupement de services « incontournables ».
• Réutilisation des données personnelles collectées d'un service à un autre sans autorisation explicite GDPR consentement.
• Empêcher les développeurs tiers d’utiliser des solutions de paiement ou d’identité externes.

Processus de conformité et rapports

Le déroulement formel est le suivant : avis de désignation → délai de mise en œuvre de six mois → rapport de conformité complet. Les contrôleurs d'accès doivent nommer un responsable de la conformité indépendant, se soumettre à des audits annuels, mettre en place un système de dénonciation des utilisateurs professionnels et tenir des registres détaillés des mesures prises. Le non-respect peut entraîner des astreintes de 5 % du chiffre d'affaires quotidien et, en dernier recours, des mesures structurelles telles que la cession.

Interaction avec le droit de la concurrence

Le DMA s'inscrit dans le prolongement des articles 101 et 102 du TFUE. Il ne remplace pas les actions antitrust au cas par cas ; il fournit des règles ex ante claires, appliquées de manière centralisée par le groupe de travail DMA de la Commission, tandis que les autorités nationales de concurrence contribuent à la collecte et au suivi des preuves. Ensemble, ils visent à garantir des marchés numériques contestables et équitables dans toute l'UE.

DSA vs. DMA : comparaison côte à côte

Les deux lois s'inspirent du même modèle bruxellois, mais abordent des problèmes différents. La loi sur les services numériques (DSA) régule la circulation et la modération des contenus ; la loi sur les marchés numériques (DMA) encadre le pouvoir économique d'une poignée de plateformes « gardiennes d'accès ». Le tableau ci-dessous met en évidence les principales distinctions à connaître pour définir les obligations de conformité.

Objectif et objectif principal

• DSA : Sécurité des utilisateurs, transparence et responsabilité dans la gouvernance du contenu.
• DMA : Des marchés numériques contestables et équitables en limitant les transactions personnelles des gardiens.

Entités couvertes

• DSA : Chaque intermédiaire en ligne, d'un forum de loisirs à un CDN, avec des couches supplémentaires pour les VLOP/VLOSE.
• DMA : Seules les entreprises désignées comme gardiens qui fournissent des services de plateforme de base.

Organes de surveillance et pouvoirs

• DSA : Coordinateurs nationaux des services numériques et un conseil d'administration de l'UE ; pouvoir d'ordonner des retraits et des audits.
• DMA : Le groupe de travail DMA de la Commission européenne peut effectuer des perquisitions et imposer des mesures correctives structurelles.

Délais et délais

• DSA : Entièrement applicable depuis le 17 février 2024 ; droits annuels permanents pour les VLOP.
• DMA : La désignation du gardien déclenche un délai de six mois pour se conformer et déposer le premier rapport.

Sanctions et outils d'application

• DSA : Amendes jusqu'à 6 % du chiffre d'affaires mondial, 1 % par jour pour les retards, suspension de service pour risque systémique.
• DMA : Des amendes pouvant aller jusqu'à 10 % (20 % de récidive) et, en dernier ressort, une cession forcée.

Impact attendu sur les PME et les consommateurs

• PME : Un meilleur accès aux données de la plateforme et un classement plus équitable, mais de nouveaux documents pour la vérification des vendeurs dans le cadre du DSA.
• Consommateurs Moins d’escroqueries et de classements opaques, un meilleur contrôle sur les données et les applications par défaut : une situation gagnant-gagnant lorsque les deux actions fonctionnent en tandem.

Qui doit se conformer et comment s'y préparer

Même si votre logo n'a jamais été apposé à Bruxelles, la loi sur les services numériques (DSA) et la loi sur les marchés numériques (DMA) peuvent tout de même atterrir sur votre bureau. Ces deux règles dépendent de vos activités en ligne, et non de votre lieu d'implantation. Un contrôle d'exposition rigoureux, suivi d'un plan de projet court et itératif, permet de gérer la charge de travail et de satisfaire les auditeurs.

Cartographie de l'exposition par modèle économique

Les entreprises non européennes qui ciblent des utilisateurs européens doivent également désigner un représentant légal européen, sans exception.

Feuille de route de conformité étape par étape

1. Inventoriez chaque service, flux de données et point de contact utilisateur.
2. Désignez un propriétaire exécutif, allouez un budget et fixez un calendrier de six mois.
3. Effectuer une analyse des écarts par rapport aux tâches de base de la DSA et, le cas échéant, aux annexes du contrôleur de la DMA.
4. Rédiger ou mettre à jour les conditions générales, les étiquettes publicitaires, les politiques de réclamation internes.
5. Former le personnel, déployer les outils technologiques et planifier le premier rapport de transparence.

Gouvernance, documentation et reporting

Conserver un dossier vivant contenant :

• Rapports annuels de transparence et évaluations des risques systémiques
• Avis reçus et horodatages des actions
• Journaux des modifications d'algorithmes et certificats d'audit
• Rapports de conformité du gardien (si désigné)

Liste de contrôle des contrôles techniques et organisationnels

• Tableau de bord de signalisation des utilisateurs avec affichage 24 heures sur XNUMX Contrat de niveau de service
• Modules de vérification de l'âge et du vendeur
• API pour la portabilité des données (export JSON/CSV)
• Référentiel d'annonces séparé avec point de terminaison de recherche public
• Manuel de réponse aux crises lié aux ingénieurs de garde

Budgétisation et planification des ressources

Les PME consacrent généralement entre 20 60 et XNUMX XNUMX € à la rédaction et à l'outillage juridiques ; les responsables désignés doivent s'attendre à des dépenses à sept chiffres, principalement consacrées aux audits et aux développements d'interopérabilité. Évaluez rapidement la pertinence de la conception ou de l'achat : l'externalisation de la modération ou de la conformité SaaS peut réduire de moitié les coûts récurrents tout en préservant la taille des équipes.

Application, sanctions et mécanismes de recours

Les réglementations ne fonctionnent que lorsque les contrevenants en ressentent les effets. C'est pourquoi l'UE a associé la DSA et la DMA à un réseau de surveillance à plusieurs niveaux et à des amendes suffisamment lourdes pour faire trembler même des entreprises valant des milliards de dollars.

Architecture de supervision

Les coordinateurs des services numériques (DSA) assurent la plupart des missions de la DSA au niveau national, avec l'appui d'un comité européen pour les affaires transfrontalières et la cohérence des politiques. La Commission dirige chaque enquête DMA et toute la surveillance des VLOP/VLOSE, exerçant des pouvoirs de perquisition, des mandats d'interrogatoire et des ordonnances d'accès aux données en temps réel.

Amendes et pénalités DSA

• Jusqu'à 6 % du chiffre d'affaires mondial par violation
• Pénalités récurrentes plafonnées à 1 % du chiffre d'affaires quotidien
• Suspension de service ou blocage d'accès pour risques systémiques persistants
• Conservation obligatoire des dossiers pendant cinq ans, permettant de futurs audits

Amendes et mesures correctives structurelles de la DMA

Les contrôleurs d'accès risquent 10 % – et 20 % pour les récidivistes – du chiffre d'affaires mondial. Si les sanctions financières s'avèrent inefficaces, la Commission pourrait imposer des codes de conduite, exiger des API d'interopérabilité ou, en guise de coup de massue, ordonner une séparation structurelle des secteurs d'activité.

Plaintes et recours des utilisateurs

Les utilisateurs, les commerçants et les lanceurs d'alerte peuvent déposer des plaintes via les tableaux de bord des plateformes, auprès d'organismes de règlement extrajudiciaire des litiges agréés ou directement auprès des autorités de régulation. Les plateformes doivent répondre rapidement et gratuitement au plaignant. Les associations de consommateurs peuvent regrouper leurs réclamations en vertu de la directive européenne sur les recours collectifs.

Perspectives en matière de litiges

Attendez-vous à plus de DSA/DMA poursuites devant les tribunaux néerlandais, y compris les actions collectives pour retraits erronés ou auto-préférence. Des journaux de modération détaillés et des pistes d'audit permettront de faire la différence en matière de défense. Un examen juridique précoce préserve donc à la fois la réputation et le bilan.

Dates clés, jalons et mises à jour futures

Le règlement est déjà en vigueur, mais de nombreux détails opérationnels sont encore en cours d'élaboration. Assurez-vous que le budget, les sprints techniques et les réunions du conseil d'administration ont lieu la bonne semaine.

Aperçu du calendrier législatif

Proposition dévoilée le 15 décembre 2020 → accord politique le 23 avril 2022 → textes publiés au Journal officiel le 27 octobre 2022 → les deux lois sont entrées en vigueur le 16 novembre 2022.

Délais de conformité

Les désignations VLOP/VLOSE sont entrées en vigueur le 25 avril 2023 ; le DSA s'applique à tous depuis le 17 février 2024. Les gardiens disposent de six mois après la désignation ; les premiers rapports de conformité DMA sont attendus le 6 septembre 2024.

Actes délégués et orientations à venir

Attendez-vous à des modèles de la Commission sur les évaluations des risques systémiques, les API de référentiel publicitaire et les normes ADR certifiées d'ici le quatrième trimestre 4, ainsi qu'à des séries régulières de questions-réponses du conseil d'administration de l'UE.

Clauses de révision et extensions possibles

Un examen formel de trois ans en 2026 pourrait élargir la couverture aux hubs métavers, aux assistants vocaux et aux services d'IA générative si les risques systémiques persistent.

Réponses rapides aux questions courantes

Pressé par le temps ? Les explications succinctes ci-dessous répondent aux questions les plus fréquentes de nos clients qui tentent de décrypter la loi sur les services numériques (DSA) et la loi sur les marchés numériques (DMA).

Qu'est-ce que la loi sur les services numériques en anglais simple ?

Un manuel de règles de transparence et de sécurité des utilisateurs qui oblige chaque site Web, application ou fournisseur d'hébergement à permettre aux utilisateurs de signaler facilement le contenu illégal, d'agir rapidement sur ces signalements et de publier des statistiques de modération annuelles.

Qu'est-ce que la loi sur les marchés numériques en termes simples ?

Une loi sur la concurrence ex ante qui indique aux plateformes « gardiennes » (pensez aux magasins d’applications, aux moteurs de recherche, aux réseaux sociaux) ce qu’elles doivent faire (ouvrir les API, autoriser les désinstallations) et ce qu’elles ne doivent pas faire (se privilégier, lier les services).

Différence principale entre DSA et DMA ?

La DSA régit le traitement des contenus pour la protection des utilisateurs ; la DMA régit l'utilisation du pouvoir de marché pour une concurrence loyale. L'une cible les comportements, l'autre la domination.

Le DSA/DMA s’applique-t-il en dehors de l’UE ?

Oui. Si vous ciblez des utilisateurs de l'UE ou surveillez leur comportement, vous devez vous conformer et désigner un représentant légal de l'UE, même si votre siège social est situé dans la Silicon Valley ou à Singapour.

Que se passe-t-il si mon entreprise ignore les règles ?

Les régulateurs peuvent imposer des amendes allant jusqu’à 6 % (DSA) ou 10 %/20 % (DMA) du chiffre d’affaires mondial, imposer des pénalités quotidiennes et, dans des cas extrêmes, bloquer l’accès au marché de l’UE.

Les services bancaires et financiers sont-ils couverts ?

Uniquement lorsqu'ils agissent en tant qu'intermédiaires en ligne, par exemple en exploitant une place de marché ou une couche API. Les règles sectorielles, comme la DSP2, s'appliquent en parallèle.

Prochaines étapes

Les DSA et DMA sont déjà applicables, et toute ignorance est passible d'amendes retentissantes. Considérez la conformité comme tout autre lancement de produit : structurée, budgétisée et documentée.

• Cartographiez chaque service numérique et identifiez la loi et le niveau qui s’appliquent.
• Exécutez une analyse rapide des risques, puis approfondissez l’analyse lorsque l’exposition est élevée.
• Allouez un budget, des propriétaires et un calendrier de six mois avant que les régulateurs ne le demandent.
• Enregistrez chaque décision et obtenez un examen juridique externe au plus tôt, et non après une plainte.

Besoin d'une aide personnalisée ? Contactez-nous Law & More pour transformer ces balles en un plan d’action.